Archives par mot-clé : Chrome Web Store

Cybersécurité, Espionnae, Espionnage Spy, IA, Securite informatique, Vie privée

Des extensions espionnent vos chats avec des IA

Des extensions censées protéger la vie privée ont siphonné des conversations avec des chatbots. Selon des chercheurs, plus de 8 millions d’utilisateurs ont été exposés, via une collecte activée par défaut.

D’après une enquête rapportée par The Register et une analyse de Koi Security, quatre extensions diffusées sur Chrome Web Store et Microsoft Edge Add-ons, Urban VPN Proxy, 1ClickVPN Proxy, Urban Browser Guard et Urban Ad Blocker, auraient capturé le texte de conversations menées sur des plateformes d’IA. Les services visés incluent notamment ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok et Meta AI. La collecte serait activée par un paramètre codé en dur, sans option visible pour la désactiver, l’arrêt passant par la désinstallation. Les données interceptées seraient ensuite envoyées vers des domaines liés à Urban VPN.

Quatre extensions populaires, une collecte invisible

L’histoire commence par un paradoxe : des outils présentés comme des remparts, bloqueurs de publicité, « browser guard » et VPN, se comportent comme des micros. Koi Security affirme que quatre extensions ont été conçues pour capter et transmettre le texte des interactions avec des chatbots, et que plus de 8 millions de personnes les auraient installées. Les extensions citées sont Urban VPN Proxy, 1ClickVPN Proxy, Urban Browser Guard et Urban Ad Blocker. Elles sont distribuées via les boutiques d’extensions de Chrome et d’Edge, donc dans un espace censé filtrer les comportements abusifs.

Selon Idan Dardikman, cofondateur et directeur technique de Koi, Urban VPN Proxy cible des conversations sur dix plateformes d’IA. La liste mentionnée couvre un éventail large : ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok et Meta AI figurent parmi les services nommés. L’enjeu dépasse la simple confidentialité d’un historique : une conversation avec un chatbot peut contenir des données personnelles, des questions de santé, des éléments professionnels, des secrets d’entreprise, ou des fragments d’identité. Ici, la collecte est décrite comme activée par défaut, via un paramètre de configuration intégré au code. Dardikman affirme qu’aucun réglage côté utilisateur ne permet de l’arrêter, la seule façon de stopper la collecte étant de désinstaller l’extension.

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.
S’abonner à notre NewsLetter

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres

Comment l’extension intercepte vos requêtes et réponses

Le mécanisme décrit est agressif et s’appuie sur la position privilégiée d’une extension dans le navigateur. Dardikman explique qu’Urban VPN Proxy surveille les onglets et, lorsqu’un utilisateur visite une plateforme ciblée, par exemple un site de chatbot, l’extension injecte un script dédié, qualifié d’“executor”. Ce script ne se contente pas d’observer : il s’interpose sur les fonctions réseau du navigateur. Concrètement, il remplace ou enveloppe fetch() et XMLHttpRequest, les deux APIs fondamentales par lesquelles transitent les requêtes et réponses web. Résultat, chaque échange réseau sur la page passe d’abord par le code de l’extension.

Le script analyse ensuite les réponses d’API interceptées, isole le contenu conversationnel, puis prépare l’exfiltration. Le transfert interne s’effectue via window.postMessage avec un identifiant, PANELOS_MESSAGE, vers le “content script” de l’extension. Ce composant relaie ensuite les données à un service worker en arrière-plan, chargé de les envoyer sur le réseau. Les domaines cités pour la sortie sont analytics.urban-vpn.com et stats.urban-vpn.com. Dans ce schéma, l’utilisateur ne voit rien : aucune fenêtre, aucune notification, aucun indice visuel. L’extension exploite une logique simple, capter au niveau où tout transite, avant même que la page ou le service d’IA ne puisse “protéger” la conversation.

The Register précise avoir contacté Urban VPN, une société affiliée nommée BiScience, ainsi que 1ClickVPN via leurs adresses mail dédiées à la confidentialité. Les demandes auraient échoué, les messages étant revenus en erreur. Ce dossier est relié à des travaux antérieurs attribués au chercheur Wladimir Palant et à John Tuckner de Secure Annex, évoquant une collecte de données de navigation par BiScience. Selon Dardikman, l’enjeu serait désormais l’extension de cette collecte aux conversations avec des IA.

Consentement, « protection » affichée et zone grise des boutiques

Le débat se déplace alors sur le terrain de la conformité et de la gouvernance. Dardikman affirme qu’Urban VPN mentionne la collecte de données d’IA lors d’un écran de configuration et dans sa politique de confidentialité. Mais il souligne un décalage : la fiche de l’extension sur le Chrome Web Store indiquerait que les données ne sont pas vendues à des tiers en dehors de cas d’usage approuvés, et les conversations avec des IA ne seraient pas nommées explicitement. Il ajoute que le texte de consentement présenterait la surveillance comme une mesure de protection, tandis que la politique de confidentialité indiquerait une vente des données à des fins marketing.

Un point de chronologie compte, car il conditionne le consentement. Dardikman dit que les utilisateurs ayant installé Urban VPN avant juillet 2025 n’auraient jamais vu l’écran de consentement, ajouté plus tard via une mise à jour silencieuse en version 5.5.0. Il estime aussi que l’extension ne signalerait pas que la collecte se poursuit même quand le VPN n’est pas actif, ce qui change la perception de risque : l’utilisateur pense activer un service ponctuel, alors qu’une surveillance persistante serait en place.

Autre élément sensible : Urban VPN aurait obtenu un badge “Featured” sur le Chrome Web Store, ce qui implique, selon Dardikman, une revue humaine. Il en déduit un dilemme : soit la revue n’a pas vu le code collectant des conversations, y compris sur un produit d’IA de Google comme Gemini, soit elle l’a vu sans y voir de problème. Palant pointe, dans l’analyse citée, une possible faille d’interprétation de la règle « Limited Use », qui autorise des transferts de données vers des tiers dans des scénarios limités ne couvrant pas, selon cette lecture, les courtiers en données. Il avance que des acteurs malveillants peuvent invoquer des exceptions, « nécessaire au fonctionnement », ou « sécurité », en ajoutant des fonctions comme le blocage de publicités ou la navigation sécurisée. Google, selon The Register, n’a pas répondu immédiatement à une demande de commentaire.

Ce dossier rappelle que la menace ne vient pas seulement d’un site web ou d’un malware classique, mais d’un composant de confiance installé dans le navigateur, capable de regarder avant tout le monde et d’envoyer ailleurs ce qu’il voit. Côté recommandation, DataSecurityBreach.fr conseille fortement : désinstaller ces extensions et considérer que les conversations avec des IA depuis juillet 2025 ont pu être collectées.

 

SERVICE DE VEILLE ZATAZ

Nous retrouvons vos données volées/perdues avant qu’elles ne se retournent contre vous.

Fuites de données, Veille web & dark web, alertes et priorisation des risques.

  
DÉCOUVRIR LA VEILLE

Dédiée aux entreprises, institutions et particuliers.

A PARTIR DE 0,06€ PAR JOUR

Cybersécurité, Mise à jour, Patch, Securite informatique, VPN

FreeVPN.One : un espion masqué sur Chrome pendant des mois

Sous couvert de protéger la vie privée, une extension Chrome vérifiée a mené une vaste opération d’espionnage silencieux. Plus de 100 000 victimes. Silence radio côté développeur.

L’extension FreeVPN.One, téléchargée plus de 100 000 fois sur Chrome, s’est révélée être un puissant outil de surveillance déguisé. Derrière son label « vérifié » par le Chrome Web Store, elle capturait en secret des captures d’écran des navigateurs, extrayait des données sensibles et les transmettait à des serveurs distants. L’attaque, perfectionnée au fil des versions, exploitait des autorisations critiques, changeait de nom et ajoutait du chiffrement sophistiqué pour brouiller les pistes. En prétendant analyser les menaces, elle siphonnait en réalité des informations personnelles et professionnelles. Cet incident soulève des questions profondes sur la fiabilité du modèle de validation de Google. Quand la sécurité devient façade, qui contrôle vraiment l’extension ?

Une extension banale, une menace invisible

Pendant des mois, FreeVPN.One a fait partie du paysage numérique de nombreux internautes. Téléchargée depuis le Chrome Web Store, affichant fièrement la mention « vérifiée », elle offrait un service de protection de la vie privée, un VPN gratuit et simple d’utilisation. Rien d’inhabituel à première vue. Pourtant, derrière cette façade rassurante se cachait une opération d’espionnage massive, organisée et habilement dissimulée. L’extension, installée sur plus de 100 000 navigateurs, agissait silencieusement à chaque navigation.

La mécanique était bien huilée : à chaque chargement de page, des scripts étaient injectés en arrière-plan. Une temporisation précise de 1,1 seconde permettait d’activer une API peu connue du grand public, chrome.captureVisibleTab(). Ce simple appel technique suffisait à figer l’instantané de la page visitée. De Google Docs à Gmail, en passant par les plateformes bancaires et les services photo, rien n’échappait à la surveillance.

Les images ainsi capturées étaient encodées en base64 et transférées discrètement vers un serveur distant, identifié comme appartenant au domaine aitd.one. La collecte ne se limitait pas aux captures : adresse IP, géolocalisation, caractéristiques techniques du terminal, tout était aspiré et archivé. L’utilisateur, de son côté, ne voyait rien. Pas de ralentissement, pas d’alerte, aucune anomalie visible.

Une évolution toxique et programmée

Le processus d’infiltration s’est affiné sur plusieurs mois. L’analyse des versions successives révèle une stratégie en trois temps. À partir de la version 3.0.3, publiée au printemps 2025, FreeVPN.One demande une autorisation critique : <all_urls>. Ce simple paramètre ouvre l’accès à l’ensemble des sites visités, sans distinction. À partir de là, tout devient possible.

Puis vient la mutation. Avec la version 3.1.1, l’extension change de nom et se rebaptise « AI Threat Detection ». Un repositionnement sémantique malin, qui laisse entendre qu’elle renforcerait la sécurité de l’utilisateur en détectant d’éventuelles menaces à l’aide de l’intelligence artificielle. Une couverture parfaite pour masquer des fonctions d’espionnage toujours plus sophistiquées.

Dans les versions suivantes (3.1.3 et 3.1.4), le basculement est complet. La collecte de données s’intensifie et un chiffrement AES‑256‑GCM est mis en place, couplé à un empaquetage des clés avec RSA. Ce double verrou rend l’analyse des flux sortants particulièrement complexe, même pour les experts. La structure à deux niveaux (scripts injectés, capture différée, envoi chiffré) fait penser à une opération pensée pour durer, mais surtout pour ne pas être découverte.

Le discours du développeur, lorsqu’il était encore joignable, évoquait un simple outil d’analyse destiné à identifier les « domaines suspects ». Mais cette défense s’écroule face aux preuves : des captures issues de services de confiance (Google Photos, Sheets, etc.) ont été retrouvées sur les serveurs, sans aucune justification légitime. La dissimulation prend alors une autre tournure.

Silence du développeur, échec de Google

Le responsable de l’extension, contacté par plusieurs chercheurs en cybersécurité, a brusquement cessé toute communication. Son site de référence, construit sur une base Wix générique, ne comporte aucun contenu concret, aucune mention légale, aucune identité vérifiable. L’opacité est totale.

Plus troublant encore : malgré les signaux d’alerte répétés, FreeVPN.One a conservé son statut « vérifié » pendant toute la durée de son activité malveillante. Ce label, censé rassurer l’utilisateur, a paradoxalement joué contre lui. Il a renforcé la confiance, facilité la diffusion et multiplié les installations. Un échec structurel du Chrome Web Store, déjà critiqué par le passé pour ses failles de contrôle.

Cette affaire illustre une réalité inquiétante : même les extensions officiellement validées par Google peuvent devenir des vecteurs de surveillance massive. Et dans un contexte de tensions géopolitiques croissantes, l’enjeu dépasse le simple cadre technique. Qui étaient les véritables bénéficiaires des données collectées ? Pour quelles finalités ces captures ont-elles été stockées, organisées, analysées ? Aucune réponse officielle, mais des indices qui pointent vers une exploitation à grande échelle, peut-être au service d’acteurs étatiques ou de groupes opérant en sous-traitance.

Ce que révèle FreeVPN.One dépasse le cas isolé d’une extension malveillante. Il s’agit d’un signal d’alarme. La confiance accordée aux labels de sécurité, les promesses de confidentialité, les discours de protection sont aujourd’hui trop facilement détournés. Derrière une interface propre et un slogan rassurant, se cache parfois une mécanique d’espionnage redoutablement efficace.

Et si cette affaire n’est qu’un exemple parmi d’autres, elle pose une question fondamentale : dans un écosystème où les extensions peuvent tout voir, tout lire, tout enregistrer, qui surveille vraiment les surveillants ?